Choisir un service de formulaires conforme au RGPD
Aucun service de formulaires ne rend votre formulaire conforme au RGPD à lui seul : vous restez le responsable du traitement et décidez de la base juridique, de l’information sur la vie privée et de la durée de conservation des réponses. Ce qu’un service décide, en revanche, c’est où vont les données de vos visiteurs et ce que vous pouvez prouver à ce sujet. Ces sept questions distinguent un fournisseur que vous pouvez documenter d’un fournisseur auquel il faut faire confiance sur parole.
Guide pratique, et non un avis juridique. Pour toute décision concernant vos propres traitements, consultez votre délégué à la protection des données ou un avocat.
1. Où les envois sont-ils stockés ?
Cherchez la déclaration du fournisseur lui-même sur l’endroit où tournent la base de données et le stockage de fichiers, pas un slogan marketing. « Hébergement UE disponible » désigne souvent une option d’une offre supérieure alors que le défaut reste aux États-Unis. Si les envois sont stockés hors de l’UE, vous avez un transfert à documenter pour chacun d’eux.
2. Existe-t-il une liste publique des sous-traitants ultérieurs ?
Une liste de sous-traitants ultérieurs nomme chaque tiers qui touche aux données, avec son emplacement et sa finalité. Sans elle, vous ne pouvez pas savoir si l’e-mail, les contrôles anti-spam ou les fonctions d’IA envoient des données ailleurs.
3. Le DPA est-il publié ?
L’article 28 du RGPD exige un contrat avec chaque sous-traitant. Un DPA que vous pouvez lire avant de vous inscrire, et accepter dans le produit, est plus facile à documenter qu’un DPA disponible sur demande.
4. Pouvez-vous définir la conservation, et qu’en est-il des sauvegardes ?
Vérifiez si vous pouvez définir une durée de conservation par formulaire, si elle s’applique automatiquement et combien de temps les données supprimées restent dans les sauvegardes. Tout conserver indéfiniment par défaut va à l’encontre de la minimisation des données.
5. Que deviennent les adresses IP ?
Une adresse IP est une donnée personnelle. Un service qui stocke les IP brutes avec chaque envoi en conserve plus que nécessaire ; un service qui les hache pour la limitation de débit en conserve moins.
6. Où vont les copies ?
Les e-mails de notification, les webhooks et les intégrations copient les envois là où ces destinations sont hébergées. Le stockage UE chez le fournisseur n’atteint pas une boîte de réception hébergée aux États-Unis.
7. Les affirmations tiennent-elles ?
Comparez la page marketing avec le DPA et la politique de confidentialité. S’ils divergent sur l’emplacement ou la conservation, ce sont les documents juridiques sur lesquels vous pouvez vous appuyer.
Comment Formward y répond
- Stockage en Suède ; e-mail via le centre de données UE de Mailjet ; IA chez Mistral AI en France (résidence des données dans l’UE).
- Un registre des sous-traitants ultérieurs public ; le seul service facultatif hors UE dans le parcours des envois est Cloudflare Turnstile, désactivé sauf si un formulaire l’active.
- Le DPA est publié en intégralité et accepté dans le tableau de bord.
- Les formulaires Free suppriment après 30 jours ; les offres payantes définissent une durée par formulaire ; les sauvegardes disparaissent sous 30 jours (conservation).
- Les IP brutes ne sont jamais stockées, seulement un hash à clé (adresses IP).
Questions
- Un service de formulaires hébergé dans l’UE rend-il mon formulaire conforme au RGPD ?
- Non. Il supprime un transfert du traitement propre du fournisseur, mais vous avez toujours besoin d’une base juridique, d’une information sur la vie privée, d’une durée de conservation raisonnable et d’un DPA, et les copies que vous envoyez ailleurs suivent leurs propres règles.
- Un service de formulaires américain avec des clauses contractuelles types est-il autorisé ?
- Il peut être licite, mais chaque envoi constitue alors un transfert que vous documentez et évaluez. Un service hébergé dans l’UE évite ce travail pour le traitement propre du fournisseur.
- Quelle est la lacune la plus courante ?
- L’e-mail de notification. Beaucoup d’équipes stockent les envois dans l’UE mais envoient chaque réponse vers une boîte aux lettres hébergée aux États-Unis.
Vérifiez Formward avec la liste
Le DPA, le registre des sous-traitants ultérieurs et les règles de conservation sont tous publics.